Wat je privacyverklaring over een contactformulier moet zeggen

Niet elk punt geldt voor elk formulier, maar dit zijn de punten die een contactformulier doorgaans raakt:

Wie je bent

Je naam of bedrijfsnaam en contactgegevens, en je functionaris voor gegevensbescherming als je die hebt. Artikel 13, lid 1, onder a en b.

Waarom je ze verzamelt, en op welke grondslag

Om het bericht te beantwoorden, en de grondslag daarvoor. Meestal gerechtvaardigd belang of stappen voorafgaand aan een overeenkomst. Artikel 13, lid 1, onder c. Als je een beroep doet op gerechtvaardigd belang, benoem dat belang, artikel 13, lid 1, onder d.

Wie ze ontvangt

Je formulierdienst en e-mailprovider, en iedereen naar wie je inzendingen doorstuurt, zoals een CRM. Artikel 13, lid 1, onder e.

Doorgiften buiten de EU

Of een ontvanger buiten de EU en de EER ligt, en welke waarborg je gebruikt. Artikel 13, lid 1, onder f.

Hoelang je ze bewaart

Een termijn, of de criteria die die bepalen. Artikel 13, lid 2, onder a.

De rechten van de persoon

Inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid, het recht om toestemming in te trekken als je daarop steunt, en het recht om een klacht in te dienen bij een toezichthoudende autoriteit. Artikel 13, lid 2, onder b tot en met d.

Of ze verplicht zijn om gegevens te verstrekken

Welke velden verplicht zijn en wat er gebeurt als ze leeg blijven. Artikel 13, lid 2, onder e.

Als het formulier geautomatiseerde beslissingen met aanzienlijke gevolgen voedt, voegt artikel 13, lid 2, onder f een plicht toe om die uit te leggen. Een gewoon contactformulier doet dat zelden.

Dit voorbeeld is bedoeld voor een klein bedrijf dat Formward gebruikt. Vervang de tekst tussen haakjes, de termijnen en het contactadres door je eigen gegevens, en verwijder alles wat niet klopt met wat je werkelijk doet.

Contactformulier. Wanneer je ons via het contactformulier op deze site een bericht stuurt, gebruiken we je naam, e-mailadres en bericht om je te antwoorden. Als je een offerte aanvraagt, gebruiken we de gegevens ook om die voor te bereiden. Onze grondslag is ons gerechtvaardigd belang om vragen te beantwoorden (artikel 6, lid 1, onder f AVG), en voor offerteaanvragen stappen die je ons vraagt te nemen voorafgaand aan een overeenkomst (artikel 6, lid 1, onder b AVG).

Het formulier wordt voor ons beheerd door Formward (EGF Fastighetsservice AB, Zweden), dat de berichten namens ons als verwerker ontvangt en opslaat, op servers in Zweden. We ontvangen elk bericht per e-mail in onze mailbox, gehost bij [je e-mailprovider, locatie]. We gebruiken je bericht niet voor marketing.

We bewaren berichten 12 maanden na ons laatste antwoord en verwijderen ze daarna, tenzij het bericht tot een overeenkomst leidt; dan bewaren we het bij de overeenkomstgegevens. Naam, e-mailadres en bericht zijn verplicht, omdat we niet kunnen antwoorden zonder die gegevens.

Je kunt ons vragen om een kopie van je bericht, om het te laten corrigeren of wissen, of bezwaar maken tegen ons gebruik ervan, door te schrijven naar privacy@example.com. Je kunt ook een klacht indienen bij je toezichthoudende autoriteit voor gegevensbescherming; in Zweden is dat Integritetsskyddsmyndigheten (IMY).

Als je een selectievakje voor een nieuwsbrief toevoegt, beschrijf dat doel apart, met toestemming als grondslag en hoe iemand zich kan uitschrijven. Als je Cloudflare Turnstile inschakelt, voeg dan een zin toe dat Cloudflare, Inc. (Verenigde Staten) de botcontrole uitvoert en technische gegevens ontvangt, zoals het IP-adres.

De dienst die je formulier ontvangt, is je verwerker volgens artikel 28, en je hebt een overeenkomst met die dienst nodig. In de privacyverklaring is die dienst een ontvanger. De richtsnoeren over transparantie (WP260 rev.01) van de Artikel 29-werkgroep, onderschreven door de EDPB, stellen dat de standaard is om ontvangers te noemen, en dat je, als je alleen categorieën geeft, zo specifiek mogelijk moet zijn.

Houd de privacyverklaring in lijn met je opzet. Als inzendingen via een webhook naar een CRM gaan, of als je postvak voor meldingen buiten de EU wordt gehost, dan zijn dat ontvangers en mogelijk ook doorgiften, en die horen dan ook in de verklaring. Het register van subverwerkers en de DPA van Formward geven je de gegevens die je moet invullen.

Een link naar de privacyverklaring direct naast de verzendknop voldoet voor de meeste formulieren aan de eis “op het moment van verzamelen”. Eén regel is genoeg, bijvoorbeeld: “We gebruiken je gegevens om je te antwoorden. Lees hoe we met je gegevens omgaan.” De richtsnoeren over transparantie adviseren deze gelaagde aanpak: de belangrijkste feiten bij het formulier, de volledige toelichting één klik verderop.

Plaats op een gehoste Formward-pagina dezelfde link in de beschrijving van het formulier, zodat bezoekers die zien voordat ze verzenden.